ssh-agent、passphrase 与 keyring

agent 到底是什么#

ssh-agent = 专门替你「保管已解锁私钥」的内存进程。

它只做一件事：把私钥加载进内存，别的程序通过 socket（SSH_AUTH_SOCK）找它要签名服务。常规 agent 签名接口不把私钥交给请求签名的客户端——真正认证时，程序把「待签名数据」发给 agent，agent 用内存里的私钥签名返回结果。

对比：

无 agent：每次新连接使用加密私钥文件时，通常需要读取文件并输入 passphrase；连接复用或其他密钥提供方式另论
有 agent：解锁一次，私钥进内存，之后使用该密钥时通常无需反复输入 passphrase，具体还受有效期与确认策略限制

私钥最小暴露签名在 agent 内存里完成，私钥文件不需要被每个进程读。这是 agent 最核心的安全设计——按接口寻址、按密钥匹配，进程不知道也不关心私钥长什么样。

SSH_AUTH_SOCK：生态接口#

agent 不主动知道「什么进程要什么密码」，全靠一套标准接口 + 约定的环境变量：

SSH_AUTH_SOCK=/run/user/<uid>/gcr/ssh

任何 SSH 客户端（ssh、git、scp、rsync……）启动时都读这个变量，找到 socket，就知道「去 SSH_AUTH_SOCK 指向的 socket 找 agent 要签名」。这是生态建设而非个人配置：OpenSSH 定义了 agent 协议，gnome-keyring 实现了兼容这个协议的 agent，客户端按标准去连。

gcr-ssh-agent vs ssh-agent vs gnome-keyring 的分层#

三层关系，别混：

gnome-keyring-daemon  → 通用秘密存储（Secret Service 等）
gcr-ssh-agent        → 桌面 SSH agent 集成（版本与启动方式依发行版而异）
OpenSSH ssh-agent    → 标准 agent 签名进程
ssh / ssh-add       → 通过 SSH_AUTH_SOCK 访问 agent

GNOME 的 SSH agent 组件经历过迁移，不能把 gcr 当作所有版本中都嵌在 gnome-keyring-daemon 内部的固定组件。常见 gcr 集成会结合 OpenSSH agent、密码提示与 keyring；实际服务、socket 与自动加载行为应按发行版的版本和用户会话核对。

组件	定位	常用操作入口
`gnome-keyring`	通用密码保管箱	桌面密码管理界面、Secret Service 客户端
`gcr-ssh-agent`	桌面 SSH agent 集成	agent 服务；客户端仍可用 `ssh-add`
`ssh-agent`	OpenSSH 标准 agent	`ssh-add` 查询、添加、移除密钥

ssh-keygen 属于 OpenSSH，不需要安装 gcr。能生成密钥、运行 sshd 与桌面自动解锁是不同功能；安装或启用的具体方式取决于系统配置。

passphrase 不是「密码的密码」#

SSH 里有两个不同的「密码」概念：

① 身份 = 密钥（key）：私钥 id_ed25519 不是一串密码，而是一个数学签名工具。认证时：你的机器拿私钥生成签名 → 对端拿你登记过的公钥验证 → 通过就放行。

② passphrase = 给私钥文件上把锁：私钥是一个文件，没保护的话谁读到文件谁就能冒用。passphrase 就是给这个文件加的密码锁——只有你本地打开私钥文件时才需要它。

真正的认证：  GitHub ◄──签名── 你的私钥     ← 只有这一层是「认证」
                                    │
本地保护：                    私钥文件被 passphrase 锁着    ← 这只是「开文件」

passphrase 不参与网络认证，GitHub 完全不知道你有没有 passphrase。它不是「套娃」，而是「把私钥裸奔这个最大的坑补上」。

keyring + PAM：登录密码怎么解锁 keyring#

启用了匹配的 PAM、keyring 与桌面 agent 集成时，可能形成如下链路：

显示管理器登录输入密码
    │
    ▼
PAM 的 pam_gnome_keyring.so
    │  （实际登录服务的 PAM 栈，路径与内容依系统而异）
    ▼
gnome-keyring 用登录密码解锁 keyring
    │
    ▼
gcr-ssh-agent 从 keyring 取出 SSH passphrase
    │
    ▼
按集成策略解锁或按需加载私钥，减少 passphrase 提示

keyring 文件在 ~/.local/share/keyrings/（文件名依版本与 keyring 而异）。

关于「没设密码」如果 login keyring 密码与登录密码一致且 PAM 集成生效，登录时可自动解锁。自动登录、指纹等不提供明文登录密码的方式不保证解锁。真正的风险点是「改了系统登录密码但 keyring 没同步更新」：旧 keyring 用旧密码加密，新密码解不开，需要手动输一次旧密码。

忘了 passphrase 怎么办#

场景	结果
平时用 SSH	已配置并解锁的 agent/keyring 可减少重复输入
忘了 passphrase	仅当可访问的 keyring 已保存它或 agent 仍持有密钥时，现有流程才可能继续；不是恢复保证
重启/注销	agent 内存密钥会丢失，需重新加载；是否自动恢复取决于 keyring 与集成
无法解锁私钥且没有可用备份	通常需生成新密钥并更新服务端授权；建议备份和密码管理器

不可恢复的密码无法取得私钥的 passphrase 且没有可恢复副本时，OpenSSH 没有重置口令以解锁原私钥的后门。SSH 登录授权通常可通过其他管理通道替换；若同一密钥用于加密数据，恢复条件另行判断。

参考与延伸

根据技术笔记重新整理，示例使用通用名称。